桃桃记账 · 隐私政策

概述

桃桃记账是一款本地优先的记账工具，默认将你的数据保存在本机。以下说明你的数据如何被使用、存储与删除。

• 账本、明细、账户、预算、备注和照片附件默认仅保存在本机。
• 数据导入只在本机解析；微信登录与 Apple 登录均为可选，仅用于会员权益；默认不会上传你的账本数据。会员云备份需主动开启，并将加密备份直传腾讯云。
• 同意后，App 会进行更新检查，仅发送有限的版本和设备信息，不读取硬件 ID，也不涉及账本内容。
• 若版本启用 APM 运行诊断，会发送匿名运行和崩溃信息，不包含账本、备注、照片或登录凭证。

运营主体与联系我们

桃桃记账由济南云端启航科技信息有限公司运营。本公司负责本政策项下的个人信息处理活动。如对本隐私政策或个人信息处理有任何疑问、意见或投诉，可通过邮箱 1072254416@qq.com 与我们联系。

基本说明

桃桃记账是一款本地优先的记账工具。本地记账无需登录，默认也不会主动将你的账本数据上传到开发者服务器。仅当你主动开启会员云备份时，App 才会在本机把账本备份加密为 .taocb 密文并直传腾讯云对象存储（详见「可选会员云备份」）。微信登录与 Apple 登录均为可选，仅用于会员权益绑定。

可选微信登录

微信登录完全可选，仅用于会员权益。登录后服务端只保存微信昵称、头像 URL、openid/unionid、桃桃业务登录态和会员权益状态，不接收账本、明细、账户、预算、AA 账单或照片附件的明文。会员云备份的加密正文直传腾讯云对象存储 COS，不经过家庭服务器，详见「可选会员云备份」。

可选 Apple 登录

Apple 登录（Sign in with Apple）完全可选，用于在 iOS 上提供与微信等价的登录方式。选择登录后，App 会向 Apple 请求授权并验证 Apple 身份令牌：我们只保存 Apple 的用户标识符（user identifier）、首次授权时你主动提供的姓名和邮箱（可以不提供；邮箱可能是 Apple 私密转发地址），以及桃桃业务登录态和会员权益状态；不读取 Apple 账户密码、支付信息或其它 Apple 数据。你的 Apple 身份令牌会提交给 Apple 与桃桃服务端完成验证；身份验证由 Apple Inc. 处理，涉及境外传输。若你将 Apple 与已有微信账号绑定，两个登录方式指向同一个桃桃账号，会员权益与云备份保持共享；我们不会按邮箱、姓名或设备猜测并合并账号。你在系统设置中撤销 Apple 授权，或在 App 内删除桃桃账号时，我们会向 Apple 撤销相关授权令牌。

可选会员云备份

云备份是会员可选功能，默认关闭，不会在你不知情时自动开启，也不是多端实时同步或多设备合并。开启后，App 会在本机用 AES-256-GCM 算法把账本备份 ZIP 加密为 .taocb 密文，再通过 HTTPS 直传腾讯云对象存储 COS（北京地域）的私有桶；备份正文不经过家庭服务器，家庭服务器只保存你的账号、备份元数据，以及由独立主密钥加密包装的每用户托管密钥。每用户最多保留 5 份加密备份；关闭云备份开关、退出登录或会员到期都不会自动删除已上传的加密备份，你可以在「隐私与协议」中手动删除全部云端备份。需要说明的是：每用户密钥由家庭服务器用独立主密钥加密托管，服务端在授权请求中能够解封该密钥并校验备份；只要你开启并使用云备份，加密账本密文就会上传到腾讯云 COS，因此本功能并非服务端完全无法访问的托管方式，开启后账本数据的加密备份也会存在于腾讯云。

我们如何使用数据

你录入的账本、明细、账户、预算、备注、图片附件、AA 账单和小票，用于在本机展示记账、统计、预算、资产和备份恢复。你主动提交意见反馈时，反馈文字、联系方式、你选择或截屏带入的图片，以及非敏感诊断设备信息会发送到桃桃服务端，用于问题排查和回复。诊断设备信息包括机型、厂商、品牌、系统版本、语言地区、Android 设备代号、Android API 级别、安全补丁、CPU ABI、屏幕尺寸、像素比、CPU 核心数，以及有限的调试环境状态（USB 调试、不保留活动、显示触摸操作、动画缩放）。

本地数据导入

当你主动使用“数据导入”时，App 会通过系统文件选择器读取你选定的 CSV、XLS 或 XLSX 账单文件；在 Android 上，你也可以在微信等外部应用里通过「打开方式」把账单文件交给桃桃记账。两种方式均在本机完成格式识别、解码、预检和写入，不会为导入而将原文件上传到开发者服务器。App 不会修改或删除你选定的原文件，也不会将原文件长期复制到 App 永久目录；经「打开方式」交给 App 的文件会临时复制到 App 缓存目录，导入会话结束或退出后即被删除。导入成功后，导入的交易、原文件基本名、文件大小、SHA-256 摘要、来源平台、导入统计与脱敏问题摘要会保存在本机业务数据库，用于展示历史、重复保护和批次撤销；若你另行启用备份，这些本机数据会随账本备份一同处理。

本地数据导出

当你主动使用“数据导出”时，App 只在本机读取你选定账本和时间范围内的普通收入、支出明细，并在本机生成 XLSX 文件。会员鉴权只判断账号是否拥有数据导出权益，不会把导出的账单正文发送给鉴权服务或开发者服务器。生成完成后，App 通过系统保存面板把文件交给你选择的目录或文件服务处理；App 不维护永久导出缓存、导出历史或外部最终保存路径。

本地文件解析组件

数据导入使用 file_picker 选择文件，并使用 csv、excel_community 与 charset_converter 解析 CSV、XLS、XLSX 及 GB18030 编码文本；数据导出使用 excel_community 在本机生成 XLSX，并使用 file_picker 调起系统保存面板。这些组件只在本机读取、转换或生成你主动处理的数据，不会因解析或生成而联网或向开发者服务器上传账单正文。

App 更新检查

你同意隐私政策后，为判断当前版本兼容性、灰度范围和是否需要提示或强制更新，App 会自动更新检查。检查只发送平台、App 版本、Build、随机安装实例 ID、机型、厂商、品牌、系统版本、Android API 级别和 locale；不读取 Android ID、广告 ID、设备序列号、MAC 地址等硬件 ID，更新检查本身不涉及账本内容。随机安装实例 ID 由 App 本地生成，仅用于稳定灰度、去重和更新事件统计。为统计当日活跃版本分布，服务端会把随机安装实例 ID 转换为按自然日轮换的 HMAC 去重标识；该标识不能直接跨日关联，版本观测最长保留 31 天。版本观测仅保存平台、App 版本、Build 和当日去重标识，不新增用户身份、硬件 ID 或账本数据。

APM 运行与崩溃诊断

你同意隐私政策后，若当前版本启用 APM 运行诊断，App 会在后台自动记录并通过 HTTPS 发送匿名安装实例 ID（installation ID）、会话 ID、启动/活跃事件，以及 Flutter/Dart 异常的错误类型、消息、堆栈和有限的脱敏上下文；每条事件还会附带基础设备元数据：App 版本与 Build、平台、系统版本、厂商、品牌、机型、渠道和语言地区。扩展设备信息（Android 设备代号、Android API 级别、安全补丁、CPU ABI、屏幕尺寸、像素比、CPU 核心数）与调试环境（USB 调试、不保留活动、显示触摸操作、动画缩放）只随异常错误事件传输，用于兼容性与异常定位。这些数据不包含用户 ID、联系方式、Android ID、广告 ID、设备序列号、MAC/IP 地址、定位、账本内容或文件路径。数据上报到独立部署的 APM 诊断服务，不经过记账业务服务器，也不与账本数据混合存储。事件最长在本机保留 7 天等待上传，超期自动清除；成功上传后，服务端原始事件保留 90 天、聚合统计数据保留 365 天，到期自动删除。APM 不读取或上传账本、明细、账户、预算、备注、照片、微信身份或登录凭证；上报失败不影响记账，未同意隐私政策时不创建 APM 文件或发起网络请求。你撤回隐私同意时，App 会先停止采集，再清除本机 APM 队列和随机安装实例标识；撤回前已成功发送的诊断数据按上述服务端保留期限自动删除。

不会主动收集

手机号、身份证号、精确位置、通讯录、短信、通话记录、广告 ID、Android ID、设备序列号、MAC 地址、WiFi/蓝牙列表、未列入意见反馈诊断白名单的开发者选项状态、已安装应用列表和用于广告画像的数据。邮箱与真实姓名仅在你主动使用 Apple 登录并授权提供时才会收集（也可以不提供），不会用于广告或与其它数据画像关联。

意见反馈诊断信息

为帮助判断机型、系统版本、屏幕适配、CPU 架构和调试环境相关问题，用户主动提交意见反馈时会附带非敏感诊断设备信息。调试环境仅包括 USB 调试、不保留活动、显示触摸操作和动画缩放；不包含指针位置、保持唤醒、Android ID、MAC 地址、设备序列号、定位、通讯录、应用列表或 WiFi/蓝牙列表。

数据流向

备份在 Android 上写入主存储的 Documents/桃桃记账公共目录，在 iOS 上写入 App 本机沙盒（不主动外传、随整机备份保留、卸载即失）。使用数据导入时，你选定的账单文件只在本机解析；使用数据导出时，选定范围内的普通收支只在本机生成 Excel，并由系统保存面板交给你选择的位置。使用截屏反馈、系统分享、保存到相册、导出备份、导入恢复时，数据会交由你选择的反馈服务、系统服务、目录或目标 App 处理。启用 APM 运行诊断后，匿名运行和崩溃诊断数据通过 HTTPS 发送到独立部署的 APM 诊断服务（境内），不经过记账业务服务器；不采集账本正文，本机待上报队列最长保留 7 天，撤回隐私同意时立即清除。开启会员云备份后，账本备份会在本机用 AES-256-GCM 加密为密文，再通过 HTTPS 直传腾讯云对象存储 COS（北京地域）的私有桶，备份正文不经过家庭服务器。

删除与撤回

你可以删除明细、账本、账户、AA 账单和备份文件，也可以在登录状态下使用「删除桃桃账号」，或撤回隐私同意。「删除桃桃账号」是远端删除：删除桃桃服务端的账号、登录身份（含 Apple/微信身份）、会话、会员权益、历史反馈和全部云端备份，并向 Apple 撤销相关授权；该操作不会删除你手机上的账本、明细、账户、附件和本地备份文件，删除后你仍可以未登录状态继续记账。撤回隐私同意是本机清除：App 会清除本机业务数据库、照片附件、备份临时文件、账号登录凭证、账号资料与头像缓存、隐私同意记录和权限告知确认记录，并在完成后关闭；撤回不会替你发起远端账号删除。已经导出或分享到外部目录、相册、其他 App 的文件不会自动删除。撤回或删除账号都不会自动删除你已上传到腾讯云的加密备份，除非你通过「删除桃桃账号」（随账号一并删除）或在「隐私与协议」中使用「删除全部云备份」入口（需登录）。

儿童与未成年人

桃桃记账不是专门面向儿童的产品。未成年人应在监护人同意和指导下使用。

数据出境与第三方共享

桃桃记账默认不会主动向开发者服务器上传用户账本数据。可选的微信登录会把微信昵称、头像 URL、openid/unionid 和业务登录态发送给桃桃服务端（境内），用于会员权益绑定，但不包含任何账本数据。可选的 Apple 登录会把 Apple 用户标识符和（你授权时的）姓名、邮箱经桃桃服务端验证，Apple 身份验证由 Apple Inc. 处理，涉及向境外（Apple 服务器）传输上述登录信息。启用 APM 运行诊断时，匿名运行与崩溃诊断数据发送到独立部署的 APM 诊断服务（境内），不经过记账业务服务器，不包含账本内容、用户身份或登录凭证。会员云备份的加密密文存储在腾讯云对象存储 COS 北京地域（境内），不传输到境外服务器；家庭服务器只保存账号、备份元数据和加密托管密钥，不接收备份正文。